nginx漏洞修复之检测到目标URL存在http host头攻击漏洞

这篇具有很好参考价值的文章主要介绍了nginx漏洞修复之检测到目标URL存在http host头攻击漏洞。希望对大家有所帮助。如果存在错误或未考虑完全的地方,请大家不吝赐教,您也可以点击"举报违法"按钮提交疑问。

漏洞说明

为了方便的获得网站域名,开发人员一般依赖于HTTP Host header。例如,在php里用_SERVER[“HTTP_HOST”]。但是这个header是不可信赖的,如果应用程序没有对host header值进行处理,就有可能造成恶意代码的传入。
host头攻击漏洞修复,# NGINX,nginx,http,运维

解决方法

绿盟建议:
web应用程序应该使用SERVER_NAME而不是host header。
在Apache和Nginx里可以通过设置一个虚拟机来记录所有的非法host header。在Nginx里还可以通过指定一个SERVER_NAME名单,Apache也可以通过指定一个SERVER_NAME名单并开启UseCanonicalName选项。

修复过程

配置server块default_server,处理没请求到具体url的请求

   server {                                                                                                                                                     
       listen          80 default_server;                                                                                                                                                                                           
       server_name  _;                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                      
       
       location / { 
       return 403;                                                                                                                                                                                                                                                                                                         
       }                                                                                                                                                        
    }                          

nginx 的 default_server 指令可以定义默认的 server 去处理一些没有匹配到 server_name 的请求,如果没有显式定义,则会选取第一个定义的 server 作为 default_server。

之后将后续的server_name配置上准确的可访问的地址,重启nginx即可文章来源地址https://www.toymoban.com/news/detail-588726.html

#其余server配置
server_name  127.0.0.1 192.168.1.1 www.test.com;
#重启
nginx -s reload

到了这里,关于nginx漏洞修复之检测到目标URL存在http host头攻击漏洞的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处: 如若内容造成侵权/违法违规/事实不符,请点击违法举报进行投诉反馈,一经查实,立即删除!

领支付宝红包 赞助服务器费用

相关文章

  • 检测到目标URL存在暗链

    暗链又叫隐藏链接,指的是正常的链接通过一些方法,如:把链接放入js代码中,使用display:none等等,从而使用户在正常浏览网页的时候无法看到这个链接。暗链是对搜索引擎的一种欺骗,导致搜索引擎的误判,将高权重分配给原本没有价值的网站甚至是钓鱼网站。这样极易

    2024年02月16日
    浏览(39)
  • 慢速 HTTP 攻击 Slow HTTP Attack漏洞原理以及修复方法

    漏洞名称 :Slow Http attack、慢速攻击 漏洞描述 :慢速攻击基于HTTP协议,通过精心的设计和构造,这种特殊的请求包会造成服务器延时,而当服务器负载能力消耗过大即会导致拒绝服务。HTTP协议规定,HTTP Request以rnrn(0d0a0d0a)结尾表示客户端发送结束,服务端开始处理。那

    2024年01月19日
    浏览(41)
  • 安全扫描:检测到目标站点存在javascript框架库漏洞

    发现问题: 检测到目标站点存在javascript框架库漏洞 解决办法: 1、在node_modules里查找到jsencrypt文件夹,将里面的jsencrypt.min.js文件复制出来,放在utils文件夹里。 2、在main.js里,引用方式将 import JsEncrypt from \\\'jsencrypt\\\' 改为 import JsEncrypt from \\\'@/utils/jsencrypt.min.js\\\'

    2024年02月16日
    浏览(43)
  • 脆弱的SSL加密算法漏洞原理以及修复方法_检测到目标服务支持ssl弱加密算法漏洞修复

    可以这样建立一个仅使用SSLv2协议及其密码算法的服务器: httpd.conf SSLProtocol -all +SSLv2 SSLCipherSuite SSLv2:+HIGH:+MEDIUM:+LOW:+EXP 3、 如何建立一个仅接受强加密请求的SSL服务器: 如下设置为仅使用最强的七种密码算法: httpd.conf SSLProtocol all SSLCipherSuite HIGH:MEDIUM 4、 如何建立一个仅接受

    2024年04月13日
    浏览(55)
  • 修复nginx 可通过HTTP获取远端WWW服务信息 漏洞

    当前版本是1.22.1编译安装的 在原先nginx-1.22.1目录下重新编译然后把新加模块的nginx执行文件复制到nginx安装目录下重新启动,或者平滑升级一下就可以了 要先停止n   ginx  nginx -s stop 下载  Nginx  扩展  headers-more-nginx-module wget https://github.com/openresty/headers-more-nginx-module/archive/

    2024年02月13日
    浏览(36)
  • 漏洞处置:HTTP/2 快速重置攻击对 F5 NGINX 的影响

    原文作者:Michael Vernik, Nina Forsyth 原文链接:漏洞处置:HTTP/2 快速重置攻击对 F5 NGINX 的影响 转载来源:NGINX 开源社区 NGINX 唯一中文官方社区 ,尽在   nginx.org.cn 本文主要介绍了最近发现的一个与 HTTP/2 协议有关的漏洞——HTTP/2 快速重置(HTTP/2 Rapid Reset)攻击。在特定条件下

    2024年03月25日
    浏览(44)
  • 【网安AIGC专题10.11】①代码大模型的应用:检测、修复②其安全性研究:模型窃取攻击(API和网页接口) 数据窃取攻击 对抗攻击(用途:漏洞隐藏) 后门攻击(加触发器+标签翻转)

    本文为 邹德清教授的《网络安全专题》课堂笔记系列 的文章,本次专题主题为大模型。 第一次课上,文明老师的博士生杜小虎学长进行了 代码大模型的应用及其安全性研究 的相关介绍 将我之前不太明白的一些概念解释得深入浅出,醐醍灌顶 另有部分个人不成熟的理解,欢

    2024年02月04日
    浏览(50)
  • 每日漏洞 | Host头攻击

    《HTTP | HTTP报文》最后一节,简单的介绍了一下首部字段,其中就包含了Host首部字段。 为了方便获取网站域名,开发人员一般依赖于请求包中的Host首部字段。例如,在php里用_SERVER[\\\"HTTP_HOST\\\"]。但是这个Host字段值是不可信赖的(可通过HTTP代理工具篡改),如果应用程序没有对H

    2024年02月08日
    浏览(41)
  • Http host 标头攻击

            HTTP Host 标头攻击是一种网络安全攻击技术,利用了 HTTP 协议中的 Host 标头字段的漏洞。Host 标头字段用于指定客户端请求的目标主机名或域名。         攻击者可以通过构造恶意的 HTTP 请求,伪造或篡改 Host 标头字段的值,从而欺骗服务器,让服务器误以为请

    2024年02月11日
    浏览(49)
  • HTTP Host 头攻击是什么?

    💂 个人网站:【海拥】【游戏大全】【神级源码资源网】 🤟 前端学习课程:👉【28个案例趣学前端】【400个JS面试题】 💅 寻找学习交流、摸鱼划水的小伙伴,请点击【摸鱼学习交流群】 随着互联网的发展,网络安全问题变得日益重要。HTTP Host头攻击作为一种常见的网络攻

    2024年02月12日
    浏览(42)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包,优惠每天领

二维码1

领取红包

二维码2

领红包